News Elektronischen Patientenakten: Hacker finden erneut Sicherheitslücken in der ePA

[Snapuman]

Na man kann ja nie wissen ^^ - ok
(WENN es so gewesen wäre, wäre das auf jeden Fall eine nachvollziehbarer Grund für deine Haltung hier gewesen, daher die Frage...)

 

[raychan]

Bedauerlicher Einzelfall und macht keinen Unterschied ob auf Papier oder digital. Und Fehlbehandlungen nachzuweisen ist auch schwer.

Hä? Also erstmal ist Papier und digital ein gewaltiger Unterschied. Papier kann nur derjenige bearbeiten der dies auch in der physischen Hand hat. Digital kann je nach Aufgebauten System entweder alle bearbeiten oder nur einer. Und da ist der Haken, wenn die ePA Zugriff für alle erlaubt mit kleinen Hürden kann da jeder ran.

Fehlbehandlung gibt es Schlichtungsstellen und Richter. Bei mir war es relativ einfach zum Glück.

Ich bin voll und ganz für eine Digitalisierung des Gesundheitsystem aber bitte auf den aktuellsten Sicherheitsstandards. Und das es Transparent gestaltet wird und von externen wie BSI und CCC überwacht wird.

 

[shaggy86]

Gut das ich schon vor Monaten widersprochen habe und keine ePA habe. Solange das Theater so weitergeht, können die mich mal gern haben

 

[Snapuman]

@raychan Ne glaub mir BSI willst du nicht - wenn die das überwachen kommt genau sowas raus wie jetzt ^^

 

[Olandos]

Schade, mal wieder eine Totgeburt. Vertrauen ist dahin, es werden nur wenige nutzen und wir bleiben wieder stehen.

Ich habe beruflich mit medizinischen Daten zu tun, grundsätzlich halte ich eine Art EPA für sinnvoll. Allerdings ist es unbegreiflich warum man im Nachhinein Kontrollmöglichkeiten streicht (Welcher Arzt sieht was) und ebenso unverständlich ist es mir, warum die sonst (zu Recht) als so sensibel angesehen Daten nicht streng zweckgebunden bleiben. Eine weitere Nutzung, wie die zu Forschungszwecken, sollte ausschließlich der Betroffene erlauben können.

Der dickste Knüller ist aber der Umgang mit Sicherheitsproblemen. "Ist bekannt, das wird schon" weckt einfach kein Vertrauen in mir.

Warum legt man nicht schon die ersten Entwürfe offen und sammelt konstruktive Kritik von Anfang an? Es gibt ja offensichtlich nette Mitbürger die ihre Expertise sogar unentgeltlich einsetzen um solche Fehltritte zu verhindern. Warum nimmt man solche Stimmen nie ernst? Betrifft ja leider nicht nur die EPA.

So dramatisch ist es jetzt nun wirklich nicht um von einer Totgeburt zu sprechen.
Die Politik hatte damit gerechnet das sich vielleicht 20 Prozent austragen lassen.
Nach aktuellen Zahlen haben sich 6 Prozent ausgetragen und 94 Prozent machen mit.

https://www.aok.de/pp/gg/update/knapp-94-prozent-erhalten-elektronische-patientenakte/

 

[cruse]

Jeder Arzt kann stand jetzt alle Daten einsehen oder das Dokument ist für alle gesperrt. Das Thema ePA ist einfach nur ein Witz.

Jo, vor allem wenn man sieht dass es in anderen Ländern, wie schweden z.b. schon seit Jahrzehnten ein etabliertes System gibt, wo eben genau dies möglich ist und wo der Kunde aka Patient die Daten auch auf seinem Handy hat und einzeln freigegeben kann.

Wieso muss man ins Deutschland jedesmal alles neu erfinden? Wieso nicht einfach das beste System von irgendwo importieren?

 

[Olandos]

Naja weil es Parteien schon wichtig ist das es ihre Partei war die etwas eingeführt oder verändert hat.
Und wenn dann später große Firmen oder Konzerne davon finanziell profitieren dann erwartet man das wenn der Konzern seine jährliche Spendenaktivität an Parteien veröffentlicht das die Partei die ihnen das ermöglicht hat auch bei Spenden gefälligst ganz oben auf der Liste steht.

 

[nexos93]

Wenn die Leistung beschissen ist, dann war es oft auch schon die Leistungsbeschreibung des öffentlichen Auftraggebers. Hier war offensichtlich (wieder mal) gar nicht klar, was eigentlich wie gewollt wird. Und auf Dinge/Eigenschaften, die nicht in der LB stehen, kann der öAG logischerweise auch nicht verweisen und ggf. wegen Schlechtleistung die Vergütung zurückhalten.

Hier wäre es am BSI gewesen, mal etwas zu tun, das mit seinem Namen in Verbindung steht und die Akkreditierung zu verweigern und den Start zu unterbinden/untersagen, bis die Schwachstellen geschlossen sind.

 

[BobHB]

Deswegen Einspruch einlegen und gut.

 

[iron_monkey]

ALso bei der Tagesschau (https://www.tagesschau.de/inland/innenpolitik/epa-patientenakte-hacking-100.html) klingt das eher nach alles schon erledigt alles wieder gut... zumindest lese ich es so in diesem aufklärendem "Artikel".

Da hängen zuviel Pöstchen dran und irgendein Bekannter hat erklärt, dass man mit der Umsetzung der passenden Sicherheitsmaßnahmen nicht mehr genug verdient bzw. die Daten dann nicht unglücklicherweise doch alle in der Welt landen, "ausversehen" wegen Hack oder so, konnte doch keiner wissen... aber dann greift unsere eigene, weltweit agierende Datenrückholtruppe ein oder so. Die Sicherheit besteht darin, dass man das Hacken unter Strafe stellt... Problem für die ganzen "denkbefreiten" Pöstchenkasper gelöst!

p.s.:

Wenn die Damen und Herren Politiker so überzeugt davon sind, dürfen sie gerne mal 3 Jahre den Pilotbetrieb mit allen Politikern dieses Landes in einer eigenen Datenbank mit gleichen Sicherheitsmaßnamen VORFÜHREN, dürfte ja kein Problem sein um dem Wähler Vertrauen in die Sache zu geben.

 

[Casillas]

Habt ihr eigentlich eine Ahnung, wie lächerlich im aktuellen System der Datenschutz funktioniert und wie gnadenlos einfach aktuell Gesundheitsdaten entwendet werden können?

Unser Gesundheitssystem ist eine knappe Resource, und wenn wir nicht endlich anfangen effizienter zu werden (und dazu gehört eine digitale Akte über alle Gesundheitseinrichtungen hinweg) wird das System zusammenbrechen.

Das ist genau der Punkt über den hier viel zu wenig, quasi gar nicht gesprochen wird.

Ich glaube aber, dass das Gesundheitssystem so oder so zusammenbrechen wird. Die ePA würde da sicherlich helfen, ist aber auch nicht die Lösung.

Ergänzung (2. Mai 2025)

Richtig, eine sehr knappe sogar! Dann sollte nicht sinnlos Geld für Nichteinzahler verpulvert werden oder sinnlose Kosten schlimm oder korrupt.

Was meinst du denn mit Nichteinzahler?

 

[lolinternet]

Um danach diesen populistischen Dummfug im Post danach zu liken.

Ich weiß nicht wieso du mich jetzt in diese Debatte mit hineinziehst, die man hier meiner Meinung nach ohnehin nur mit angezogener Handbremse führen kann.
Die letzte Regierung und auch schon die Regierung davor, hat sich eben keinen Gefallen getan mit Worten wie "Deutschlandtempo" herumzuhantieren, während man solchen Murks im Schneckentempo abgeliefert hat. Deutschland kommt über das "Neuland" einfach nicht hinaus. Und das ist ja auch nicht der einzige Murks der da abgeliefert wurde.
Das könnten wir jetzt lang und breit an einzelnen Fallbeispielen abhandeln oder ich nenne es ganz einfach Deutschlandmurks. Du kannst da ja gerne anderer Meinung sein - für mich zeichnet sich da eben ein Muster ab. Aber du, ich möchte mit dir gar nicht debattieren. Ich finde deinen Umgangston einfach fragwürdig und empfinde es mindestens als unsympathisch, dass du offensichtlich "nachforschst" was deine "Widersacher" in diesem Fall eben @Schwobaseggl liken um es ihnen dann vorzuhalten und mit irgendeiner abgedroschenen Floskel aus dem "Internet-101 der Schlagfertigkeit" einen vermeintlichen "Punkt" zu machen. Auch das kannst du gerne so handhaben, ich hab halt nur Minusbock mich mit so einer Person überhaupt zu unterhalten. Von daher: Du hast gewonnen, ich gebe mich geschlagen! Ich halts Maul.

 

[Vigilant]

Ich glaube aber, dass das Gesundheitssystem so oder so zusammenbrechen wird.

Warum sollte es zusammenbrechen? Es wird teurer, wenn keine strukturellen, gesetzgeberischen Veränderungen zur Kostenkontrolle eingezogen werden. Oder es gibt hinsichtlich der Versorgungsqualität regionale Schwächen aufgrund von Fachkräftemangel. Oder der Druck auf die Einrichtungen steigt, weil mit der demographischen Entwicklung auch die Behandlungsbedürftigkeit steigt.

Das sind aber alles Aspekte, die sich durch Änderungen am System, auch an der Finanzierungsstruktur, für mehr Stabilität anpassen lassen. Skandinavien oder Benelux bekommen es ja auch hin. Nur halt mit einer anderen Organisation und stärkerer Kostenkontrolle. Mehr Effizienz halt.

Und nein, eine Bürgerversicherung würde auch nicht helfen. Der Effekt wäre, je nach Studie, irgendwo zwischen 0,5 und 1,2 Prozentpunkten anzusiedeln. Und auch nicht sofort, sondern über die Transformations-Strecke verteilt.

Es braucht Regelungen zur Kostenkontrolle einerseits, um die Schere zwischen Ausgabensteigerungen und den Beitragseinnahmen aus Arbeitseinkommen und sonstigen Einkommen möglichst weit zu schließen. Andererseits braucht es strukturelle Veränderungen, um die Effizienz des System zu steigern. Die ePA ist da nur ein wichtiger Baustein.

Kein Hexenwerk sollte man meinen. Aber weil das System so irre viele Player mit ihren Partikularinteressen hat, die kaum unter einem Hut zu bringen sind, ohne jemanden weh zu tun, ist das hinsichtlich der gesetzgeberischen Arbeit ein Haifischbecken. Hinzukommt, dass vieles auch Ländersache ist, was das Ganze weiter verkompliziert.

Bin gespannt, was von der neuen Gesundheitsministerin Nina Warken zu erwarten ist.

 

[Casillas]

Andere Länder haben auch keine 94 Krankenkassen, wo Geld in "Wasserköpfen" versickert.
In Dänemark z.B. gibt es nur 1.

Aber Politik und Lobby usw. Das es zu viele Krankenkassen gibt, wird in Deutschland gar nicht diskutiert. Nur das Krankenhäuser bzw. das Personal zu viel verdient. Hier wird der Druck weiter steigen und irgendwann knallt es.

Regelungen zur Kostenkontrolle gibt es auch schon. Und die Effizienz steigern kann man mit der ePA deutlich. Aber sieht man ja, auf wieviel Verständnis allg eine ePA hier stößt. Und das ist leider auch unabhängig von Schwachstellen in der ePA so.

 

[Vigilant]

Aber Politik und Lobby usw. Das es zu viele Krankenkassen gibt, wird in Deutschland gar nicht diskutiert. Nur das Krankenhäuser bzw. das Personal zu viel verdient.

Woher stammt dieses Bild?

Es gibt sehr wohl eine Diskussion über die Anzahl der Krankenkassen. Steht teilweise als "Bürgerversicherung" auch in Parteikonzepten.

Und wo wird diskutiert, dass das Krankenhauspersonal zu viel verdient?

Es sind übrigens 95 (2024) Krankenkassen. In 2000 waren es noch 420, 1990 über 1.000. Und der Kontrahierungszwang besteht weiter, auch wenn die Anzahl Zusammenschlüsse weniger wurde.

Die Zusammenlegung der restlichen 95 zu einer Bürgerversicherung würde kaum etwas bringen (-0,5 bis -1,2 Beitragssatzpunkte). Das wird von den Kostensteigerungsfaktoren sofort wieder aufgefressen und ist also nicht die Lösung, auch wenn das an den Stammtischen dieser Nation mit bierseligem Gemecker über Politik und Wasserköppe gerne so gesehen wird.

 

[Rockstar85]

Natürlich nicht, aber bei den sogenannten "Altparteien" sind diese Daten hingegen in guten Händen. 🤡

Schon, wenn ich mir die Anfragen der AFD zu den Thema so anschaue..

Selektion und Euthanasie hatten wir schon Mal. Ist nicht gut geendet.


Warum man keine PKI Schlüssel Zertifikate an Kliniken austeilt, bleibt auch ein Geheimnis der Gematik. Und ich finde es sehr gut, dass hier genau hin geschaut wird.

Und für Rettungsdienst etc reicht auch ein "need to know" Prinzip. Manchmal verstehe ich nicht, wieso wir immer unsere Probleme auf dem deutschen Weg lösen müssen.

 

[JackTheRippchen]

ePA einfach per Beschluss für sicher und nicht hackbar erklären und dann passt alles

Ronald Pofalla, übernehmen Sie!

 

[Snapuman]

Wenn die Leistung beschissen ist, dann war es oft auch schon die Leistungsbeschreibung des öffentlichen Auftraggebers. Hier war offensichtlich (wieder mal) gar nicht klar, was eigentlich wie gewollt wird. Und auf Dinge/Eigenschaften, die nicht in der LB stehen, kann der öAG logischerweise auch nicht verweisen und ggf. wegen Schlechtleistung die Vergütung zurückhalten.

Hier wäre es am BSI gewesen, mal etwas zu tun, das mit seinem Namen in Verbindung steht und die Akkreditierung zu verweigern und den Start zu unterbinden/untersagen, bis die Schwachstellen geschlossen sind.

Die Leistungsbeschreibung selbst war mit Sicherheit schon beschissen - das ist aber noch lange kein Grund so einen technischen Murks abzuliefern (Stand der Technik aus dem "vorletzten Jarhundert") wie die Gematik (und bis heute nichts grundlegendes daran zu ändern - obwohl sie seit 2 Jahren(!) von Privatpersonen/Sicherheitsforschern aka "Hackern" darauf hingewiesen werden.)

Und das BSI ist ein schlechter Witz mit Anlauf...

BSI hatte vor Restrisiko gewarnt
Bei der Einschätzung des gestern bekannt gewordenen Szenarios geht das BSI deshalb von "hohen technischen Hürden" aus. Insbesondere die Notwendigkeit von Hardware aus dem Gesundheitssystem sowie einem gültigen Identitätsnachweis sei eine Hürde, die zudem Aufdeckungsrisiko mit sich bringe.

Es gibt Hunderttausende von HBAs, und die Hardware ist alles andere als knapp und geschützt. Muss man sich (etwas) Mühe geben und es wollen? Sicherlich. Das sind aber keine "hohe technischen Hürden". Hohe technischen Hürden wären ordentlich(!) implementierte kryptographische Verfahren, wenigstens mit Stand aus dem vergangenen(!) Jahrhundert... DAS ist hier das eigentliche (technische) Problem, an dem sich bis heute nichts(!) geändert hat, alles nur Flickschusterei und Ausreden bisher.

Allerdings gelte auch: "Die Frage, ob die für das Angriffsszenario notwendigen zusätzlichen Patienteninformationen strukturell angemessen geschützt sind, entzieht sich dem Aufgabenbereich des BSI", teilt eine Sprecherin der Bonner Behörde auf Anfrage mit. Die IT-Sicherheitsbehörde weist zudem darauf hin: "Das BSI hatte auf ein bestehendes Restrisiko für gezielte Angriffe auf die ePA durch ein solches potentielles Szenario hingewiesen und seine Stakeholder darüber vor dem bundesweiten ePA-Rollout informiert."

Damit sieht das BSI die Verantwortung klar bei den Betreibern der Infrastruktur der elektronischen Patientenakte: "Der bundesweite Rollout der ePA wird von unseren Sicherheitsteams gemeinsam mit dem BSI eng begleitet", hatte der Geschäftsführer der Gematik gestern erklärt, deren Hauptgesellschafter der Bund ist. Das Bundesamt für Sicherheit in der Informationstechnik ist zwar nach den einschlägigen Regelungen des Sozialgesetzbuchs V in die Erstellung der Technischen Richtlinien eingebunden.

Doch anders als vermutet werden könnte, ist dort nur ein "Benehmen" vorgesehen, das mit dem BSI hergestellt werden muss. Echte Prüf- oder Genehmigungspflichten würden erst mit der Formulierung des "Einvernehmens" juristisch vorgesehen. Dann dürfte das BSI dem Betreiber etwa auch den Betrieb untersagen oder Anforderungen eigenständig verschärfen. Im Zuge des starken politischen Willens dazu, die ePA trotz möglicher Bedenken nach 20 Jahren Diskussion endlich an den Start zu bekommen, wurden solche Mittel für Datenschutzbehörden oder BSI jedoch ausgeschlossen.

Wie du siehst a) IST das BSI bereits eingebunden, aber es war bisher nicht das BSI was eklatante Schwachstellen aufgedeckt und den Start verzögert hat. Und b) Selbst wenn die fachliche Kompetenz HÄTTEN und da was aufklären WÜRDEN, wäre da nix mit "verweigern und den Start zu unterbinden/untersagen" weil "politischer Wille"... Das ist eine reine Farce um die Menschen zu beruhigen und so zu tun, als ob da wer kompetentes die Sicherheit überwacht!

ALso bei der Tagesschau (https://www.tagesschau.de/inland/innenpolitik/epa-patientenakte-hacking-100.html) klingt das eher nach alles schon erledigt alles wieder gut... zumindest lese ich es so in diesem aufklärendem "Artikel".

Ja, "Gehen sie bitte weiter, hier gibt es nichts zu sehen! hust" ... ^^

 

[Alphanerd]

Aber du, ich möchte mit dir gar nicht debattieren. Ich finde deinen Umgangston einfach fragwürdig und empfinde es mindestens als unsympathisch, dass du offensichtlich "nachforschst" was deine "Widersacher"

Ich habe keine Widersacher, maximal Diskussionspartner.

Ja, ich bin schon ein krasser Forscher, nahezu ein Hacker: ich habe 2 Posts am Stück gelesen. Der zweite hatte ein Like. Vom Poster davor.

Von daher: Du hast gewonnen, ich gebe mich geschlagen!

Lach. Wir hatten kein einziges Wort einer Diskussion gewechselt.

Gib dich nicht auf!

Ergänzung (2. Mai 2025)

Typischer Deutschlandmurks halt.

Und ja, so ein Einzeiler ist einfach Dummfug. Muss man einfach so benennen dürfen.

 

[FLCL]

Der Bevölkerung ist es einfach egal. Konservation mit nem Kumpel von grade:

Anhang anzeigen 1613157

Jop, ist hier im.Bekanntenkreis ähnlich:"Die haben eh schon alle meine Daten, da ist es jetzt auch egal".

Ich werde nie verstehen, warum so viele es genehm finden, wenn immer mehr Parasiten sich an einem laben wollen.
Dieses freiwillige anbieten der Kehle, unfassbar.
Aber es funktioniert, sieht man ja, da wird hier dann direkt von Schwurbelei gesprochen. Bloß nicht aktiv mitdenken wollen.

Und stehter Tropfen höhlt den Stein...sieht man ja auch immer wieder an dem Versuch die Vorratsdatenspeicherung seitens der Politik doch noch am Gericht vorbeigedrückt zu bekommen.
Und wenn es dann doch passiert und hinterher eskaliert kommt derselbe Typ Mensch an mit:"Na das konnte doch keiner ahnen".